उपयोगकर्ता प्रबंधक – PN <= 1.1.15 - 'userspn_form_save' AJAX कार्रवाई के माध्यम से खाता अधिग्रहण के माध्यम से गैर-प्रमाणित विशेषाधिकार वृद्धि

WordPress प्लगइन 'Users manager – PN' में CVE-2026-4003 भेद्यता एक गंभीर विशेषाधिकार वृद्धि जोखिम का प्रतिनिधित्व करती है। यह एक हमलावर को, भले ही वह प्रमाणीकृत न हो, वेबसाइट पर किसी भी उपयोगकर्ता मेटाडेटा को संशोधित करने की अनुमति देता है। यह भेद्यता userspnajaxnoprivserver() फ़ंक्शन में प्राधिकरण जांच की कमी के कारण होती है। गैर-प्रमाणीकृत उपयोगकर्ताओं को पूरी तरह से ब्लॉक करने के बजाय, तर्क केवल यह जांचता है कि userid खाली है या नहीं। यदि एक मान्य user_id प्रदान किया जाता है, तो उचित प्राधिकरण के बिना मेटाडेटा अपडेट निष्पादित किया जाएगा, जिससे उपयोगकर्ता प्रोफाइल, भूमिकाओं और अनुमतियों में हेरफेर किया जा सकता है। इससे पूरी WordPress वेबसाइट पर नियंत्रण, पहचान की चोरी और संवेदनशील जानकारी का खुलासा हो सकता है। CVSS स्कोर 9.8 एक गंभीर प्रभाव और उच्च शोषण संभावना का संकेत देता है।

1. आरक्षित2026-03-11
2. प्रकाशित2026-04-07
3. संशोधित2026-04-08
4. EPSS अद्यतन2026-04-15

तत्काल उपाय 'Users manager – PN' प्लगइन को संस्करण 1.1.20 या उच्चतर में अपडेट करना है। यह संस्करण प्राधिकरण भेद्यता को ठीक करता है, जिससे एक मजबूत जांच लागू की जाती है जो अनधिकृत उपयोगकर्ताओं को उपयोगकर्ता मेटाडेटा को संशोधित करने से रोकती है। निवारक उपाय के रूप में, WordPress साइट पर उपयोगकर्ता अनुमतियों की समीक्षा करें और केवल अधिकृत कर्मियों को ही व्यवस्थापकीय पहुंच प्रतिबंधित करें। संभावित कमजोरियों को कम करने के लिए सभी प्लगइन्स और WordPress कोर को नियमित रूप से अपडेट करना भी महत्वपूर्ण है। शोषण से पहले सुरक्षा मुद्दों की पहचान करने और ठीक करने में मदद करने के लिए आवधिक सुरक्षा ऑडिट सहायक हो सकते हैं।

सक्रिय इंस्टॉलेशन

0आला

प्लगइन रेटिंग